Техническая информация
Для обеспечения автозапуска и распространения
Создает или изменяет следующие файлы
- <SYSTEM32>\tasks\firefox default browser agent 1f2c1df5cf76598c
- <SYSTEM32>\tasks\firefox default browser agent d3afd36ebab0a7a7
Вредоносные функции
Внедряет код в
следующие системные процессы:
- %WINDIR%\explorer.exe
следующие пользовательские процессы:
- 2cea.exe
Изменения в файловой системе
Создает следующие файлы
- %APPDATA%\dcrjvat
- %TEMP%\cb79.exe
- %APPDATA%\jwrjvat
- %TEMP%\2cea.exe
- %TEMP%\3303.bat
- %TEMP%\4ad8.exe
- %TEMP%\4e33.exe
- %TEMP%\oldplayer.exe
- %TEMP%\632a.exe
- %TEMP%\ss31.exe
- %TEMP%\xandetc.exe
- %TEMP%\79b7.exe
Присваивает атрибут 'скрытый' для следующих файлов
- %APPDATA%\dcrjvat
- %APPDATA%\jwrjvat
Удаляет следующие файлы
- %TEMP%\cb79.exe
- %LOCALAPPDATA%\microsoft\windows\<INETFILES>\content.ie5\bzjx5bke\cimage[1].jpg
Самоудаляется.
Сетевая активность
Подключается к
- 'ho####ile-host6.com':80
- 'st####ommunity.com':443
- 't.#e':443
- 'fi##bin.net':443
- '18#.#06.92.187':80
- 'bi###cket.org':443
- '45.#.74.80':80
- 'ap#.#ims.com.sa':443
- 're###kt5569.com':80
- '19#.#49.189.91':80
- 'hu##rsi.com':80
- 'cd#####.anonfiles.com':443
- 'cd#.##scordapp.com':443
- 'tr##sfer.sh':443
- 'ua##y.top':80
- 'po###ulit.org':80
- 'bz.###eioaag.com':80
TCP
Запросы HTTP GET
- http://ua##y.top/dl/buildz.exe
- http://hu##rsi.com/dl/6523.exe
- http://45.#.74.80/power.exe
- http://18#.#06.92.187/shared/Ruzvelt.exe
- http://re###kt5569.com/downloads/toolspub1.exe
- http://bz.###eioaag.com/sts/cimage.jpg
Запросы HTTP POST
- http://ho####ile-host6.com/
- http://po###ulit.org/
Другие
- 'tr##sfer.sh':443
- 'cd#.##scordapp.com':443
- 'cd#####.anonfiles.com':443
- 'bi###cket.org':443
- 'fi##bin.net':443
- 't.#e':443
- 'st####ommunity.com':443
- 'ap#.#ims.com.sa':443
UDP
- DNS ASK ho####ile-host6.com
- DNS ASK ua##y.top
- DNS ASK tr##sfer.sh
- DNS ASK cd#.##scordapp.com
- DNS ASK cd#####.anonfiles.com
- DNS ASK 5l##k.net
- DNS ASK hu##rsi.com
- DNS ASK po###ulit.org
- DNS ASK re###kt5569.com
- DNS ASK bi###cket.org
- DNS ASK fi##bin.net
- DNS ASK t.#e
- DNS ASK ap#.#ims.com.sa
- DNS ASK st####ommunity.com
- DNS ASK bz.###eioaag.com
Другое
Создает и запускает на исполнение
- '%TEMP%\cb79.exe'
- '%TEMP%\2cea.exe'
- '%TEMP%\4ad8.exe'
- '%TEMP%\4e33.exe'
- '%TEMP%\632a.exe'
- '%TEMP%\oldplayer.exe'
- '%TEMP%\ss31.exe'
- '%TEMP%\79b7.exe'
- '%TEMP%\xandetc.exe'
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3303.bat" "' (со скрытым окном)
- '%TEMP%\10180c8ca3\oneetx.exe' ' (со скрытым окном)
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN oneetx.exe /TR "%TEMP%\10180c8ca3\oneetx.exe" /F' (со скрытым окном)
Запускает на исполнение
- '<SYSTEM32>\cmd.exe' /c ""%TEMP%\3303.bat" "
- '<SYSTEM32>\reg.exe' add "HKEY_CURRENT_USER\Software\clicker\key" /v primary /t REG_DWORD /d 1
- '%WINDIR%\syswow64\schtasks.exe' /Create /SC MINUTE /MO 1 /TN oneetx.exe /TR "%TEMP%\10180c8ca3\oneetx.exe" /F
